elfsyourself 라는 곳에서 얼굴을 합성하여 재밌는 캐롤을 만드는 플래시가 있는데요.

 

이 플래시를 공유하려고 링크를 가져오면 관리자가 아닌 다른 사용자들은 글을 올려도 플래시가 짤립니다.

 

아마 EMBED 설정이 되어있어서 그런것 같습니다.

 

관리툴에서 EMBED 예외 설정을 하는 것까지는 알겠는데,

 

사이트 이름을 어떻게 넣어야 할 지 모르겠습니다.

 

소스입니다.

 

<script type="text/javascript" src="//char.oddcast.com/engines/html5/vs/VideoOverlayEngine_R.js"></script><script language="JavaScript" type="text/javascript" src="https://host-d.oddcast.com/api/video/eys/embedVideo.php"></script><script language="JavaScript" type="text/javascript" src="https://host-d.oddcast.com/elfyourself2018/embed/vhost_embed_functions_elf_v2.php?acc=14490&js=1"></script><script language="JavaScript" type="text/javascript">AC_VHost_Embed(14490,382,680,"",1,1, 55082, 0,1,0,"4e31df987cc4dc9de5ce5d67223a05d9",0,"","","",1375,299, 72912977, "https://", "host-d.oddcast.com");</script><select id="videoDropDown" style="display:none;"></select><link href="https://fonts.googleapis.com/css?family=Open+Sans:400,700" rel="stylesheet">

 

 

이래서 EMBED / OBJECT 예외에

 

//char.oddcast.com

https://host-d.oddcast.com/

 

를 넣었는데도 관리자 아이디가 아닌 다른 아이디는 플래시를 올리지 못하네요.

제가 어떻게 수정하면 될까요?

  • ?
    그게 아니라 XSS공격때문에 XE에서 차단한게 아닐까요?
  • ? ?
    XSS 요?? 그게 뭐죠.. ㅠㅠ 잘 모르는 부분이라..
  • ? profile
    보안취약점으로 인한 해킹을 할 수 있는 취약점중의 하나입니다. html문서를 조작해서 다른 사용자의 클라이언트 세션을 탈취하여 해킹하는 방법을 일컷습니다. 이러한 부분때문에 임베디드태그를 막고 있습니다. 유튜브같이 일부 사이트를제외한 사이트들에서 사용이 불가할 수 있습니다.
  • profile

    embed 자체도 문제이지만 스크립트는 일반회원에게 허용되지 않습니다.
    그리고 지금 플래시로 만드는건 제공해봐야 보통 요즘 브라우저들은 플래시를 기본적으로 막고 사용자가 허용해야 재생이 되는데요. 굳이 이걸 사이트에 출력하시려고 할 필요가 있을지 의문이네요...

  • profile ?
    그렇군요. 보안문제로 스크립트를 아예 막아놨군요.
    특정 회원들만 스크립트 허용을 하거나,
    아니면 작업물을 올릴때만 스크립트를 허용하든가 해야겠네요. 감사합니다.
  • ? profile

    특정회원에게 허용할 수 없습니다. 관리자권한을 부여하셔야 합니다.

    그리고 플래시컨텐츠를 띄우는 사이트는 방문자가 해킹등에 대한 거부감을 갖게 됩니다. 

    브라우저사들이 기본적으로 이제 플래시컨텐츠 로드를 막는 이유가 있습니다. 사이트에 도움이 안됩니다.

  • profile ?
    좋은 답변 감사합니다. 고민해보면서 운영하겠습니다.
  • ? profile

    추가로 더 부연하자면 관리자권한 부여를 쉽게 하여 그 계정을 사용하는 사람이 여기저기서 퍼오면서 해킹목적이 숨겨진 컨텐츠를 퍼오면서 계정주도 모르게 사이트가 위험에 처해지게 할 수도 있으니 관리자권한 부여는 꼭 필요한 경우 확실한 대상에게만 해야 합니다.

    지금 말씀 하신 사이트도 스크립트가 아닌 embed 만의 문제였다면 그것을 일반회원에게 허용했을때 안전한건지 판단은 운영자가 판단해서 결정할 문제이기도 합니다.

    iframe,embed 의 화이트리스트 로 허용할 곳만 극히 제한적으로 유저에게 열어주는 이유가 있습니다.

     

    특히 최고관리자권한 계정은 사이트관리 외 컨텐츠작성 특히 iframe,embed 로 다른 곳의 불러오는 것을 작성해서는 안됩니다.

    그런 것은 일반계정으로 작성해야 하며 최고관리권한 계정으로 이용하다 최고관리권한이 탈취될 수도 있습니다.

  • profile ?
    아 사실은 교실에서 학생들 가르치면서 실습한 소스를 댓글로 올리도록 하려고 했는데요.
    모든 학생들 아이디에 관리자권한을 부여하기가 그래서
    아예 만들어 놓은 관리자 아이디 하나를 알려주고 그 계정으로 로그인해서 댓글을 달게 할까 고려해봤습니다.
    수업이 끝난 뒤에는 임시로 만든 아이디 삭제해버리면 그만이니까요..^^
  • profile
    <embed> 태그가 아니라 <script> 네요. 당연히 embed 예외가 먹힐리가 없죠.
  • profile ?
    네 지금보니 script 네요. 관리자 외에는 script를 막아놨다는 사실도 알게되었습니다. 감사합니다.